Домены и управление SAN

Листовой сертификат действителен только для имён, перечисленных в его альтернативных именах субъекта (SAN). При подключении клиента имя хоста или IP в его URL должны точно совпадать с одной из этих записей — подстановочные знаки и сопоставление по префиксу не поддерживаются. Эта страница описывает управление списком на сервере; проверка на стороне клиента — на последней странице «Строгая проверка на клиентах».

Автоматическое обнаружение

Сервер непрерывно обнаруживает, по каким именам он доступен — текущие имена хостов и адреса активных сетевых интерфейсов — и перечисляет их в разделе «Найденные автоматически». Эти записи следуют за машиной и не редактируются вручную: добавьте сетевой интерфейс или смените имя хоста — список обновится при следующем продлении.

Дополнительные домены и IP-адреса

Автообнаружение знает не всё: имена DDNS, записи split-horizon DNS или адрес за NAT нужно вносить вручную. Добавьте их в разделе «Дополнительные домены и IP-адреса»:

1. Введите имя хоста или IP-адрес (например server.home.arpa или 10.0.0.8) и нажмите «Добавить»;
2. Повторите для каждого имени, которое будут использовать клиенты. Удалите запись кнопкой корзины;
3. Проверьте «Итоговый список SAN» — объединённое представление обнаруженных и ручных записей, которое понесёт следующий сертификат;
4. Нажмите «Сохранить и перевыпустить». При сохранении подписывается новый 90-дневный листовой сертификат с новым списком SAN и загружается на горячую — существующие подключения остаются на месте, а новые рукопожатия сразу используют новый сертификат.

Ручной перевыпуск и статус

Панель «Листовой сертификат сервера» показывает действующий сертификат: значок статуса, субъект, отпечаток SHA-256, срок действия и записи SAN. Значок статуса означает:

• Доступен — загружен действующий листовой сертификат и используется;
• Ошибка обновления — последняя попытка перевыпуска не удалась; предыдущий сертификат остаётся активным, ошибка показана на странице;
• Не создан — ни CA, ни листового сертификата ещё нет; используйте «Создать CA и сертификат», чтобы создать оба.

«Перевыпустить листовой сертификат» немедленно подписывает свежий листовой сертификат, не дожидаясь автоматического повода — полезно сразу после смены имени хоста или интерфейсов, а также чтобы учесть изменения SAN, сделанные вне веб-интерфейса.

Распространение корневого CA

Клиентам, которые будут использовать строгую проверку, нужен публичный сертификат корневого CA. Получите его на карточке «Частный корневой CA»:

• «Скачать корневой CA» сохраняет PEM-файл;
• «Копировать корневой CA» кладёт PEM в буфер обмена, готовый для вставки в поле CA клиента.

Корневой CA не меняется ни при продлениях листового сертификата, ни при изменениях SAN — достаточно распространить его один раз. Прежде чем включать строгую проверку где бы то ни было, сверьте показанный на этой странице отпечаток SHA-256 сертификата с тем, что получил клиент (см. последнюю страницу «Строгая проверка на клиентах»).

Загрузка и буфер обмена содержат только публичный сертификат CA — никогда приватный ключ. Передавайте его только тем, кто, по вашему мнению, должен уметь проверять ваш сервер.